【PC】Internet Explorer6～11の脆弱性に対する緊急update【KB2961887】

緊急且つ重要なWindows Updateが来ていました。

Windows8.1では、

Windows 8.1 for x64-based Systems 用 Internet Explorer Flash Player のセキュリティ更新プログラム (KB2961887)

です。更新しましたが、すぐに終了。再起動の必要なし。この後も別のパッチ（更新プログラム）が来るかも知れないので、しばらく注意が必要。

公式アナウンス：Microsoft Security Advisory: Update for vulnerabilities in Adobe Flash Player in Internet Explorer: April 28, 2014　（インターネットエクスプローラにおけるAdobe Flash Playerの脆弱性に関わる更新）

【2014/05/02追記】更に本日未明、新たな更新プログラムが配布されました。→ブログ記事『【PC】Internet Explorer 11 のセキュリティ更新プログラム (KB2964358)』
追記終わり

これに関する報道はこれかな（↓）。

「エクスプローラー使うな」と警告　米国土安全保障省　ハッカー攻撃の危険」　2014.4.29 00:04 ［マイクロソフト］

　米国土安全保障省は２８日、ハッカー攻撃にさらされる危険があるとして、米マイクロソフト社の閲覧ソフト「インターネット・エクスプローラー」を使わないよう警告、代替ソフトの使用を呼び掛けた。ロイター通信が伝えた。

　米当局によると、バージョンが「６」から「１１」までのインターネット・エクスプローラーが攻撃を受けた場合、大きな危険につながる恐れがあるという。（共同）

　

あ、XPには修正プログラムはありません。サポート切れとはそういうことです。

【追記】

コメントでご指摘を受けた、ITmediaの記事とは、こちら↓で、今回の緊急アップデートの説明す。masao様、ありがとうございました。

『Adobe、Flash Playerを緊急アップデート　Windowsを狙う攻撃発生』Windowsを標的に、Flash Playerの脆弱性を悪用する攻撃が横行しているという。なお、IEに発覚した未解決の脆弱性とは無関係。
http://www.itmedia.co.jp/enterprise/articles/1404/30/news034.html

これによると、「これとは別に、IE 6～11には未解決の脆弱性が見つかり、Flashを利用した攻撃の発生が確認されているが、今回Adobeが修正した脆弱性とは無関係。IEの脆弱性を修正する更新プログラムは米国時間の4月29日現在、まだ配信されていない。」

なお、同社の関連記事（今回のゼロディアタックを警告する記事）はこちら↓。

『IE 6～11に未解決のゼロデイ脆弱性、Microsoftがアドバイザリ公開』

http://www.itmedia.co.jp/news/articles/1404/28/news017.html

これによると、「Microsoftは調査が完了した時点で月例または臨時更新プログラムを公開して修正する予定としている。」とのこと。個人でできる対策なども書かれているので、詳細は記事をお読み下さい。

ゼロディアタック（zero day 〔zero-hour or day zero〕 attack / zero day exploit）とは：セキュリティ上の脆弱性(セキュリティホール)が認知される以前にその脆弱性を突く攻撃。

Zero Day Exploits：A zero day exploit is when the exploit for the vulnerability is created before, or on the same day as the vulnerability is learned about by the vendor. By creating a virus or worm that takes advantage of a vulnerability the vendor is not yet aware of and for which there is not currently a patch available the attacker can wreak maximum havoc.

http://netsecurity.about.com/od/newsandeditorial1/a/aazeroday.htm

要するに、攻撃に対する“防御の猶予を与えない”（0 day）って意味なんですね。今回知った言葉です。

【更に追記】

IPA（情報処理推進機構）がこのトラブルに関して、起こりうる被害や対応策について分かりやすく説明しています。常に最新の情報を提供するよう更新しているようなので、定期的に確認されたらいいかと思います。

『更新：Internet Explorer の脆弱性対策について(CVE-2014-1776)』